As crianças já usam chatbots de IA, e os reguladores europeus esperam agora que esses produtos as protejam na prática, e não apenas na política de privacidade. Se a sua empresa gere um chatbot, um assistente de IA ou qualquer funcionalidade de IA a que os jovens possam aceder, isto aplica-se a si, mesmo que as crianças não sejam o seu público-alvo.

Três desenvolvimentos de 2026 dão o tom. Em julho, a autoridade italiana de proteção de dados sancionou a empresa por trás do Character.AI por controlos de idade fracos e perfis de menores públicos por defeito, entre outras falhas. Em setembro, um tribunal alemão decidiu contra a forma como o chatbot de IA do Snapchat usava os dados das conversas para publicidade. E a 17 de setembro a Comissão Europeia propôs o EU KIDS Act, que sujeitaria pela primeira vez os companheiros de IA e os chatbots gerais a regras de proteção das crianças. O fio condutor: se os menores conseguem chegar ao seu chatbot, a privacidade desde a conceção tem de funcionar na prática. Este artigo é apenas informação geral e não constitui aconselhamento jurídico.

O que fizeram reguladores e tribunais

A Itália já sancionou dois chatbots de companhia, um tribunal alemão pronunciou-se e Bruxelas quer regras dedicadas.

Quatro lições para quem gere um chatbot

1. Um campo de data de nascimento não é verificação de idade

O Character.AI argumentou que o RGPD não exige nenhuma tecnologia específica de verificação de idade. O Garante aceitou, mas disse que os artigos 24.º e 25.º continuam a exigir medidas adequadas e eficazes face aos riscos, incluindo a vulnerabilidade dos menores.

A porta de entrada do Character.AI baseava-se em os utilizadores digitarem a sua própria data de nascimento. Um teste técnico a 8 de abril de 2025 mostrou que um utilizador que declarasse 15 anos conseguia na mesma registar-se, e que as contas de menores autodeclarados eram públicas por defeito. O Garante ordenou à empresa que fizesse os controlos de idade funcionar, tornasse efetivo o período de espera para menores recusados e definisse os perfis de menores como privados por defeito. A empresa tem 120 dias para reportar.

Mais tarde, o Garante considerou adequado o novo sistema da empresa. Combina verificação de idade com experiências restritas para menores e foi introduzido a partir de novembro de 2025.

2. A AIPD vem antes do lançamento

A primeira avaliação de impacto sobre a proteção de dados (AIPD) do Character.AI tem data de 14 de novembro de 2024. O serviço foi lançado em setembro de 2022. O Garante disse que devia ter sido feita antes do lançamento e apontou três fatores que, cada um por si, bastavam para a exigir: IA generativa, tratamento em grande escala e envolvimento de menores. Acrescentou que revisões internas de risco informais e não documentadas não substituem uma AIPD formal nos termos do artigo 35.º.

Conclusão prática: se o seu chatbot usa IA generativa e as crianças o poderiam plausivelmente usar, parta do princípio de que é exigida uma AIPD e conclua-a antes do lançamento. Veja o nosso guia da AIPD para chatbots de IA.

3. Diga com clareza o que acontece às conversas e aos dados de treino

Estas conclusões aplicam-se a qualquer produto de IA, não apenas aos dirigidos a jovens.

4. Os dados de conversa não são combustível gratuito para publicidade

O caso Snapchat aponta no mesmo sentido. Segundo as notícias sobre a sentença, o tribunal de Colónia considerou que os termos da Snap para o seu chatbot de IA não cumpriam os requisitos básicos de um tratamento lícito. Pedia-se aos utilizadores que consentissem através de caixas pré-selecionadas, incluindo para publicidade direcionada, e a Snap disse usar todos os dados das conversas para gerar anúncios relevantes. O tribunal afirmou que o tratamento continuaria ilícito mesmo com um aviso sobre os dados antes da primeira utilização e que o interesse legítimo não o podia justificar. Os comentadores referem ainda que considerou real a possibilidade de dados sensíveis, já que num chatbot se pode escrever quase tudo, e que criticou anúncios de álcool e jogos de azar dirigidos a menores.

As caixas pré-selecionadas há anos que não são consentimento válido no direito da UE. A novidade é ver o princípio aplicado a um chatbot, onde os utilizadores podem partilhar muito mais do que numa caixa de pesquisa.

O que a lei já exige e o que o KIDS Act acrescentaria

Nenhuma destas decisões assenta em direito novo: o RGPD abrange os dados das crianças desde o início.

As verificações de idade têm o seu próprio risco para a privacidade. A Declaração 1/2025 do CEPD sobre verificação de idade (fevereiro de 2025) estabelece dez princípios: o método deve basear-se no risco, ser proporcionado e o menos intrusivo que ainda seja eficaz, e evitar recolha de dados desnecessária, definição de perfis e rastreio. O CEPD observa que a verificação de idade envolve muitas vezes, por si só, um risco elevado, pelo que deve começar-se por uma AIPD.

O KIDS Act proposto

O KIDS Act é uma proposta, pelo que pode mudar antes de se tornar lei. Segundo as perguntas frequentes da Comissão, os companheiros de IA e chatbots acessíveis a menores deveriam:

A avaliação de impacto da Comissão diz que as obrigações de teste e monitorização não se aplicariam a sistemas fornecidos por micro e pequenas empresas. A proposta mais ampla prevê que a idade autodeclarada não bastaria: a idade seria verificada através de ferramentas certificadas, como uma aplicação europeia de verificação de idade, que indicam ao serviço apenas se o utilizador está acima ou abaixo de determinada idade. A aplicação para companheiros de IA e chatbots apoiar-se-ia nas estruturas do Regulamento da IA, com coimas até 6 % do volume de negócios anual mundial.

O que isto significa para uma pequena empresa

As coimas até agora atingiram aplicações de companhia, mas o raciocínio aplica-se a qualquer empresa que ponha um chatbot diante do público. Um bot de apoio ao cliente, um assistente de reservas ou uma funcionalidade de IA dentro da sua aplicação podem ser alcançados por adolescentes.

Lista de verificação para equipas que gerem chatbots

Em resumo

Muitos chatbots foram construídos partindo do princípio de que os utilizadores são adultos capazes de ler uma política de privacidade e de cuidar de si. Reguladores e tribunais estão a testar esse pressuposto e a considerá-lo insuficiente. Os passos são claros: avaliar os riscos antes do lançamento, verificar a idade de forma que funcione sem recolher em excesso, manter privados por defeito os dados dos menores, manter as conversas fora da publicidade e ser honesto sobre o treino. As equipas que o fizerem agora estarão preparadas para o KIDS Act e ganharão a confiança dos pais que decidem quais as aplicações que ficam no telemóvel dos filhos. Não sabe em que ponto estão as suas ferramentas de IA? A ferramenta de auditoria de IA da GDPRGard é um bom ponto de partida. Para o dever de informar que se trata de IA, veja o nosso guia do artigo 50.º do Regulamento da IA.

Fontes

As posições acima são resumidas a partir das fontes listadas; as notícias sobre as sentenças e sobre a proposta do KIDS Act são secundárias e devem ser confirmadas na própria sentença e na própria proposta. A análise de como tudo se encaixa é nossa.

Partilhar este artigo

Leia também:

⚠️ Este artigo destina-se apenas a fins informativos e não constitui aconselhamento jurídico. Para situações de conformidade complexas, consulte um profissional qualificado em proteção de dados. Os requisitos do RGPD e do Regulamento europeu de IA estão sujeitos a orientações regulatórias em constante evolução — verifique as suas obrigações atuais com o seu consultor jurídico.